Ukratko: Ako je web-stranica Vaše udruge hakirana ili stoji na nezakrpanom PHP-u, ne treba veliki proračun, ali treba jasna odgovornost. Jedan član upravnog odbora kod pružatelja hostinga pita za stanje zakrpe, osigurava pristupe i po potrebi odlučuje stranicu privremeno isključiti. Podaci članova pritom imaju prednost pred kalendarom termina.
Kako su tipično građene web-stranice udruga
Većina stranica udruga i saveza radi na WordPressu ili Joomli, a postavio ih je angažirani član, često prije mnogo godina. Tipične funkcije: termini i rasporedi utakmica, foto galerije, područje za članove sa zapisnicima, online zahtjevi za članstvo sa SEPA mandatom za izravno terećenje, obrasci za donacije i prijave na tečajeve, turnire ili izlete.
Savezi dodatno vode portale za tvrtke članice ili mjesne skupine, područja odbora s povjerljivim dokumentima i rezervacije seminara. Gotovo sve to temelji se na PHP-u i leži na povoljnom web-hostingu.
Koji su podaci članova na poslužitelju
Online zahtjevi za članstvo sadrže imena, datume rođenja, adrese i bankovne veze. U sportskim klubovima mnogi su članovi maloljetni, pa zahtjevi navode i skrbnike. Neki podaci spadaju u posebne kategorije prema čl. 9. GDPR-a, primjerice zdravstveni podaci u rehabilitacijskom sportu i sportu osoba s invaliditetom ili članstvo u sindikatima i vjerskim zajednicama.
Često se na poslužitelju nalaze i zaboravljene datoteke: popisi članova kao tablice za blagajnika, izvozi za slanje glasila udruge, stare sigurnosne kopije. Upravo se one pri napadu brzo kopiraju.
Kod saveza se pridodaju drugi podaci: kontakt osobe i pokazatelji tvrtki članica, nacrti očitovanja, zapisnici sa sjednica upravnog odbora i stručnih odbora. Što se tamo povjerljivo raspravljalo, kod curenja može oslabiti pregovaračke pozicije ili zavaditi članove. Za saveze je područje za članove stoga često osjetljivije od javne web-stranice.
Udruga i hakirana web-stranica: što to konkretno znači
- Zlouporaba bankovnih podataka: S imenima i IBAN-om mogu se pripremiti krivotvorena izravna terećenja ili prijevarne poruke u ime udruge.
- Ugled u zajednici: Stranica udruge koja preusmjerava na sumnjive ponude upada u oči članovima, sponzorima i lokalnom tisku.
- Obveza prijave: I udruge su voditelji obrade prema GDPR-u. Pri curenju podataka može biti potrebna prijava nadzornom tijelu u roku od 72 sata. Veće udruge za to imaju službenika za zaštitu podataka, manje se obraćaju krovnoj organizaciji ili pravnom savjetniku.
Tipična praznina: volonterstvo i promjena upravnog odbora
U udruzi tehničke pojedinosti često poznaje samo jedna osoba. Ako istupi ili se upravni odbor promijeni, nedostaju pristupni podaci i nitko ne zna koja verzija PHP-a radi. Ažuriranje CMS-a ne zatvara PHP2Shell. Za PHP je kod uobičajenog web-hostinga odgovoran pružatelj hostinga, ali upit mora doći od udruge.
Odredite u upravnom odboru tko je odgovoran za web-stranicu i pohranite pristupe domeni, hostingu i administratorskom području tako da im najmanje dvije osobe mogu pristupiti. Račune administratora zaštitite dvofaktorskom prijavom.
Prvi koraci za upravni odbor
- Pisano pitati pružatelja hostinga: je li PHP za naš paket ažuriran na 8.5.12, 8.4.27, 8.3.36 ili 8.2.35 ili zakrpan backportom i ponovno pokrenut?
- Bez jasnog odgovora ili kod neobičnosti stranicu privremeno isključiti. Termini se u međuvremenu mogu slati kružnom porukom.
- Zamoliti pružatelja hostinga da čuva zapisnike od 20. 10. 2026.
- Ukloniti stare popise članova, izvoze i neiskorištene dodatke s poslužitelja te obrisati suvišne administratorske račune.
- Kod naznaka curenja podataka uključiti službenika za zaštitu podataka ili krovnu organizaciju.
S malim proračunom razumno odrediti prioritete
Nijedna udruga ne mora odjednom provesti svaku sigurnosnu mjeru. Smisleno je prioritete postaviti prema šteti: prvo zaštititi ili ukloniti sve što sadrži bankovne veze i podatke djece. Zatim stranice s prijavom, dakle područje za članove i administratorski pristup. Na kraju termine, izvješća i galerije koje su ionako javne.
Često je najpovoljnije rješenje funkcije prepustiti, a ne sami ih voditi. Zahtjevi za članstvo i SEPA mandati mogu se obrađivati preko upravljanja udrugom koje vodi pružatelj, umjesto preko samostalno izrađenog obrasca. Savezi s portalima za tvrtke članice trebali bi provjeriti nalaze li se tamo povjerljivi dokumenti odbora koji bi bolje stajali u zasebno zaštićenom sustavu. Što je manje podataka na web-stranici udruge, to manje posla izaziva sljedeća ranjivost.
Kako PHP SOS konkretno pomaže?
- Pomažemo upravnom odboru da ponovno dobije pristupe i s pružateljem hostinga razjašnjavamo stanje zakrpe.
- Pri sumnji provjeravamo stranicu na zlonamjerni kod i nepoznate račune te je čistimo preko naše hitne pomoći.
- Raspremamo ciljano: što udruga ne treba, uklanja se umjesto da se dalje osigurava.
- Dajemo Vam kratku, razumljivu primopredaju kako bi i sljedeći upravni odbor znao što gdje stoji.
Česta pitanja
Odgovara li upravni odbor ako se web-stranica udruge hakira?
Udruga je odgovorna za podatke svojih članova, a upravni odbor zastupa udrugu. Dolazi li u obzir osobna odgovornost i u kojoj mjeri, ovisi o pojedinačnom slučaju i statutu. To je pitanje za pravni savjet ili krovnu organizaciju.
Naš web-majstor istupio je iz udruge. Kako do pristupa?
Ugovorna strana pružatelja hostinga u pravilu je udruga. Uz dokaz o ovlasti za zastupanje, primjerice izvadak iz registra, upravni odbor može kod pružatelja hostinga dati ponovno postaviti pristupe. Nakon toga pristupni podaci trebali bi biti na mjestu kojem pristup ima najmanje dvoje članova upravnog odbora.
Što ne košta ništa, a odmah pomaže?
Pisano pitati pružatelja hostinga za stanje PHP zakrpe, obrisati neiskorištene administratorske račune, ukloniti dodatke koji se više ne trebaju i obrisati stare izvoze članova s poslužitelja. To znatno smanjuje rizik, ali ne zamjenjuje provjeru ako već postoje znakovi hakiranja.